Site icon Baki ÇUBUK

Windows Server 2025 Active Directory Teknik Rehberi – Bölüm 3: Yönetim ve Güvenlik

bakicubuk

Merhaba

Ön Not – Kapsam ve Amaç

Bu seri, Windows Server 2025 ile birlikte gelen Active Directory Domain Services (AD DS) dünyasını uçtan uca kavratmak amacıyla yazılmıştır. Odak noktası tek tek ürünler değil, mimarinin ve sürecin kendisidir: hangi bileşenin neden var olduğu, nasıl kurulduğu, yönetildiği ve güvenliğinin nasıl sağlandığı.

Metindeki donanım, yazılım ve komut örnekleri (ürün adları, Event ID’ler, PowerShell parametreleri, sürüm numaraları) versiyona, sürüme ve yıllara göre değişiklik gösterebilir. Bir ayarın adı değişebilir, bir ürün yaşam döngüsünü tamamlayabilir, yeni bir alternatif ortaya çıkabilir. Bu nedenle örnekleri birebir kopyalanacak reçeteler olarak değil, mantığı kavramak için birer illüstrasyon olarak okuyun; kendi ortamınıza uygularken ilgili üreticinin (Microsoft) güncel dokümantasyonunu esas alın.

Kısacası: amaç, mimariyi ve mantığı anlamaktır. Örnekler bugünün fotoğrafıdır; ilke ise kalıcıdır.

Seri Bölümleri:

  1. Bölüm 1: Temeller ve Mimari
  2. Bölüm 2: Kurulum ve Kimlik Doğrulama
  3. Bölüm 3: Yönetim ve Güvenlik ← (Bu Yazı)
  4. Bölüm 4: Yönetim Araçları ve Hibrit Kimlik

Serinin üçüncü bölümüne hoş geldiniz. Önceki bölümlerde AD (Active Directory)’nin mimarisini ve kurulumunu ele almıştık. Bu yazıda günlük yönetim ve güvenliğin kalbine iniyoruz: SYSVOL/DFS-R mimarisi, Group Policy (GPO) yönetimi, kullanıcı/grup/servis hesabı yönetimi (gMSA/dMSA), AD güvenliği ve sıkılaştırma (saldırı vektörleri, RC4/Kerberoasting, tiering, PAW/PAM), yedekleme/kurtarma ve izleme/denetim.

9. SYSVOL ve DFS-R (Distributed File System Replication) Mimarisi

SYSVOL, tüm DC (Domain Controller)’lerde bulunan ve Group Policy şablonlarını GPT (Group Policy Template) ile oturum açma betiklerini barındıran paylaşımlı bir klasör yapısıdır.\\domain.com\SYSVOL yolundan erişilir ve NETLOGON paylaşımını da içerir.

9.1. SYSVOL İçeriği ve GPO (Group Policy Object)’nun İki Parçası

Bir GPO (Group Policy Object) iki parçadan oluşur ve iki farklı yerde saklanır:

Bu iki parçanın sürüm numaraları eşleşmelidir. Eşleşmezse (Ör. biri replike olurken diğeri olmazsa), GPO (Group Policy Object) uygulanmaz bu, “GPO (Group Policy Object) çalışmıyor” şikayetlerinin sık nedenidir.

9.2. DFS-R (Distributed File System Replication)

SYSVOL replikasyonu, Windows Server 2008’den beri DFS-R (Distributed File System Replication) ile yapılır. DFS-R (Distributed File System Replication), RDC (Remote Differential Compression) teknolojisi sayesinde yalnızca değişen dosya bloklarını aktarır tüm dosyayı değil. Bu, bant genişliği verimliliği sağlar. DFS-R (Distributed File System Replication) multi-master ve çift yönlüdür.

🔄 FRS (File Replication Service) → DFS-R (Distributed File System Replication) geçişi ZORUNLUDUR: Eski FRS (File Replication Service), Windows Server 2016’dan itibaren tamamen desteklenmez. Windows Server 2025 DC (Domain Controller) eklemek için SYSVOL mutlaka DFS-R (Distributed File System Replication) kullanmalıdır. Hala FRS (File Replication Service) kullanan ortamlar dfsrmig aracıyla dört durumlu geçişi (Start → Prepared → Redirected → Eliminated) tamamlamalıdır.

9.3. SYSVOL/DFS-R (Distributed File System Replication) Sağlık Kontrolü

# SYSVOL'ün DFS-R mi FRS mi kullandığını kontrol et
dfsrmig /getglobalstate

# FRS → DFS-R geçişi (hala FRS kullanılıyorsa)
dfsrmig /setglobalstate 1   # Prepared
dfsrmig /setglobalstate 2   # Redirected
dfsrmig /setglobalstate 3   # Eliminated (geri alınamaz)

# DFS-R replikasyon durumu
dfsrdiag ReplicationState

# SYSVOL sağlık testi
dcdiag /test:SysVolCheck /test:FrsSysVol

# SYSVOL ve NETLOGON paylaşımlarını doğrula
Get-SmbShare SYSVOL, NETLOGON

10. Group Policy Object (GPO) Yönetimi ve İşleme Akışı

Group Policy, kullanıcı ve bilgisayarlara merkezi olarak yapılandırma ve güvenlik ayarları uygulamanın temel mekanizmasıdır parola politikalarından yazılım dağıtımına, ekran kilidinden USB kısıtlamasına kadar.

10.1. GPO (Group Policy Object) İşleme Sırası: LSDOU

GPO (Group Policy Object)’lar belirli bir sırayla uygulanır ve sonra uygulanan, önceki ayarları ezer. Bu sıra LSDOU kısaltmasıyla bilinir:

  1. Local – Yerel bilgisayar politikası
  2. Site – Site düzeyi GPO (Group Policy Object)’lar
  3. Domain – Domain düzeyi GPO (Group Policy Object)’lar
  4. OU – OU (Organizational Unit)’lar (üst OU (Organizational Unit)’dan alt OU (Organizational Unit)’ya, iç içe)

Aynı seviyede birden fazla GPO (Group Policy Object) varsa, link sırası (link order) belirler: numara 1 en yüksek öncelikli olup en son (dolayısıyla kazanan olarak) uygulanır.

10.2. Öncelik Kuralları

10.3. Yenileme (Refresh) ve İstemci Tarafı Uzantıları

GPO (Group Policy Object)’lar şu anlarda uygulanır: bilgisayar politikaları başlangıçta, kullanıcı politikaları oturum açıldığında; ayrıca arka planda yaklaşık 90 dakikada bir (±30 dk rastgele offset). Manuel yenileme için gpupdate /force kullanılır. Uygulamayı CSE (Client-Side Extensions) gerçekleştirir: Registry, Güvenlik, Betikler, Yazılım Kurulumu, Klasör Yönlendirme ve Group Policy Preferences.

10.4. GPO (Group Policy Object) Yönetimi ve Doğrulama (PowerShell)

# GPO modülünü içe aktar
Import-Module GroupPolicy

# Yeni GPO oluştur ve bir OU'ya bağla
New-GPO -Name "BT-Güvenlik-Politikası" -Comment "Tier 1 sunucu sıkılaştırma"
New-GPLink -Name "BT-Güvenlik-Politikası" -Target "OU=Sunucular,DC=bakicubuk,DC=com" -LinkEnabled Yes

# Tüm GPO'ları listele ve rapor üret
Get-GPO -All | Select-Object DisplayName, GpoStatus, ModificationTime
Get-GPOReport -All -ReportType Html -Path "C:\Temp\TumGPOlar.html"

# Bir kullanıcı/bilgisayar için etkin sonuç politikasını gör (RSoP)
gpresult /h C:\Temp\rsop-rapor.html /f
gpresult /r /scope computer

# GPO yedekle / geri yükle
Backup-GPO -All -Path "C:\GPO-Yedek"

🔄 Modern Not: GPO (Group Policy Object) hala şirket içi Windows yönetiminin standardıdır; ancak politika yönetimi giderek GPO (Group Policy Object) + Microsoft Intune (Bulut MDM) hibrit modeline evriliyor. Entra join edilmiş cihazlar GPO (Group Policy Object) yerine Intune yapılandırma profilleriyle yönetilir.

11. Kullanıcı, Grup ve Servis Hesabı Yönetimi

11.1. Grup Türleri ve Kapsamları

AD (Active Directory)’de gruplar, ağdaki kullanıcı ve bilgisayar yönetimini kolaylaştırmak için iki temel türe ayrılır: Güvenlik grupları (Security Groups) ve Dağıtım grupları (Distribution Groups). İkisi arasındaki temel fark, izin yönetimi (SID) ve kullanım amaçlarıdır.

Güvenlik Grupları (Security Groups)

Dağıtım Grupları (Distribution Groups)

Özetle: İzin/yetkilendirme gerekiyorsa Güvenlik Grubu (Security Group), yalnızca e-posta dağıtımı gerekiyorsa Dağıtım Grubu (Distribution Group) kullanılır. Bir Güvenlik grubu (Security Group) her iki işi de görebilirken, Dağıtım grubu (Distribution Group) izin yönetiminde kullanılamaz.

Grup Kapsamları (Group Scope)
Her iki grup türü de kullanım ihtiyacına göre üç farklı kapsama atanabilir:

AGDLP / AGUDLP en iyi uygulaması: Kurumsal standart, izin atamada belirli bir zinciri izler. Bu yöntemin amacı, kullanıcıya hiçbir zaman doğrudan izin vermemek; bunun yerine grupları iç içe geçirerek yönetilebilir ve ölçeklenebilir bir yapı kurmaktır.

AGUDLP açılımı ve karşılıkları:

Yani üyelik zinciri şöyle akar:

Account → üye olur → Global → üye olur → Universal → üye olur → Domain Local → izin atanır → Permission

Tek domainli ortamda Universal katmanı çıkar ve zincir AGUDLP olur: Account → Global → Domain Local → Permission. AGUDLP ise araya U (Universal)’nun eklendiği, birden fazla domain/forest’ın bulunduğu senaryodur.

Kısa mantık: Her harf bir öncekini “kapsar”; izin her zaman en sondaki Domain Local gruba verilir ve kullanıcı hiçbir zaman doğrudan izin almaz. Bu yaklaşım, izinlerin tek noktadan (domain local grup) yönetilmesini sağlar; erişim vermek/almak, kullanıcıyı ilgili global gruba ekleyip çıkarmaktan ibaret hale gelir.

11.2. Kullanıcı ve Grup Yönetimi (PowerShell)

Import-Module ActiveDirectory

# Yeni kullanıcı oluştur
New-ADUser `
    -Name "Baki Cubuk" `
    -GivenName "Baki" -Surname "Cubuk" `
    -SamAccountName "baki.cubuk" `
    -UserPrincipalName "baki.cubuk@bakicubuk.com" `
    -Path "OU=BT,DC=bakicubuk,DC=com" `
    -AccountPassword (Read-Host -AsSecureString "Parola") `
    -Enabled $true -ChangePasswordAtLogon $true

# Toplu kullanıcı oluşturma (CSV'den)
Import-Csv "C:\kullanicilar.csv" | ForEach-Object {
    New-ADUser -Name $_.Ad -SamAccountName $_.Kullanici `
        -UserPrincipalName "$($_.Kullanici)@bakicubuk.com" `
        -Path $_.OU -Enabled $true `
        -AccountPassword (ConvertTo-SecureString $_.Parola -AsPlainText -Force)
}

# Grup oluştur ve üye ekle
New-ADGroup -Name "GG-BT-Yoneticileri" -GroupScope Global -GroupCategory Security -Path "OU=Gruplar,DC=bakicubuk,DC=com"
Add-ADGroupMember -Identity "GG-BT-Yoneticileri" -Members "baki.cubuk"

# Denetim: 90 gündür oturum açmamış hesapları bul
Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly |
    Where-Object Enabled -eq $true |
    Select-Object Name, LastLogonDate, DistinguishedName

11.3. Servis Hesapları: MSA, gMSA ve dMSA

Servisler ve uygulamalar, ağ kaynaklarına erişmek için hesaplara ihtiyaç duyar. Geleneksel yaklaşımda bunlar statik parolalı kullanıcı hesaplarıydı büyük bir güvenlik riski. AD (Active Directory), zamanla bu sorunu çözmek için üç nesil servis hesabı sundu:

11.4. dMSA – Windows Server 2025’in Yeni Servis Hesabı

dMSA, geleneksel servis hesaplarının güvenlik açıklarını (özellikle Kerberoasting) hedef alan yeni bir hesap türüdür. Temel farkı: kimlik doğrulama cihaz kimliğine (device identity) bağlanır yalnızca AD (Active Directory)’de eşlenmiş belirli makine kimlikleri hesaba erişebilir. dMSA, geleneksel bir servis hesabından makine hesabına geçişe olanak tanırken, orijinal servis hesabının parolasını tamamen devre dışı bırakır ve anahtarları tamamen rastgele yönetir.

dMSA, Credential Guard ile birlikte çalışarak parolaları otomatik döndürür ve tüm servis hesabı biletlerini bağlar; eski hesaplar ise devre dışı bırakılır.

# KDS root key oluştur (ilk kez, gMSA/dMSA altyapısı için - 10 saat bekler)
Add-KdsRootKey -EffectiveImmediately   # Lab için: -EffectiveTime ((Get-Date).AddHours(-10))

# gMSA oluştur (yaygın senaryo)
New-ADServiceAccount -Name "gmsa-sql01" `
    -DNSHostName "gmsa-sql01.bakicubuk.com" `
    -PrincipalsAllowedToRetrieveManagedPassword "SQL-Sunucular$"

# dMSA oluştur (Windows Server 2025 - standalone)
New-ADServiceAccount -Name "dmsa-app01" -Type "DelegatedManagedServiceAccount" `
    -DNSHostName "dmsa-app01.bakicubuk.com"

⚠️ dMSA güvenlik notu: dMSA güçlü koruma sağlar, ancak her AD (Active Directory) yapısı gibi doğru izin ataması ve denetime bağlıdır. dMSA konteynerinde “Generic All” gibi geniş izinler ele geçirilirse tüm korumalar çöker. Ayrıca dMSA yeni olduğundan bazı SIEM/tespit kuralları henüz olgunlaşmamış olabilir. dMSA geçişini izlemek için Kerberos Event ID 307 (geçiş başladı), 308 (makine yetkilendirildi) ve 309 (Kerberos istemcisi anahtarları aldı) izlenir.

12. Active Directory Güvenliği ve Sıkılaştırma

Active Directory, saldırganların birincil hedefidir: bir kez ele geçirilirse tüm kurumsal kimliğin kontrolü kaybedilir. Bu bölüm, modern AD (Active Directory) güvenliğinin temel saldırı vektörlerini ve savunma katmanlarını ele alır.

12.1. Başlıca Saldırı Vektörleri

RC4, Kerberos ve Kerberoasting: Teknik Derinlik

Yukarıdaki savunma reçetesini (gMSA/dMSA + AES + RC4 kapatma) daha iyi anlamak için RC4’ün neden bir zafiyet kaynağı olduğuna yakından bakmak gerekir.

RC4 (Rivest Cipher 4) nedir ve neden zayıftır? RC4, 1987’de Ron Rivest tarafından tasarlanan bir akış şifreleme (stream cipher) algoritmasıdır. Uzun yıllar SSL/TLS, WEP ve Kerberos gibi yerlerde yaygın kullanıldı; ancak günümüzde kriptografik olarak kırık/zayıf kabul edilir. Zayıflığının temel nedeni, ürettiği anahtar akışında (keystream) istatistiksel önyargıların (biases) bulunmasıdır özellikle ilk baytlar rastgelelikten sapar. Yeterli şifreli metin toplandığında düz metin kısmen kurtarılabilir. WEP’in çökmesinin ve TLS’te RC4’ün yasaklanmasının (RFC 7465) temel sebebi budur.
Kerberos bağlamında kritik nokta: Kerberos, bir hesabın parolasından türetilen anahtarla bilet şifreler. RC4 kullanıldığında bu anahtar, parolanın NTLM hash’inin doğrudan kendisidir tuz (salt) yok, iterasyon yok. Bu, Kerberoasting saldırısını mümkün kılan zafiyettir: saldırgan bir servis hesabının SPN’i için TGS bileti ister; bilet RC4 ile şifrelenmişse, çevrimdışı olarak parola tahminleriyle hızla kırılabilir. Zayıf veya insan tarafından belirlenmiş servis hesabı parolaları böyle ele geçirilir.

Savunma önlemlerinin her biri bu saldırı yüzeyinin belirli bir kısmını kapatır:

⚠️ Kademeli geçiş uyarısı: Eski sistemler, güven ilişkileri (trust) veya bazı uygulamalar hala RC4’e bağımlı olabilir. RC4’ü aniden kapatmak servis kesintisine yol açabilir. Doğru yaklaşım: önce denetlemek (event log’larla RC4 kullanan hesapları tespit etmek Event ID 4768/4769’da şifreleme türü 0x17 RC4’ü gösterir), sonra bağımlılıkları gidererek kademeli geçiş yapmaktır.

12.2. Tiered Administration (Katmanlı Yönetim) Modeli

En etkili AD (Active Directory) savunması, kimlik bilgisi hijyenidir. Katmanlı model (Tier 0/1/2), yüksek ayrıcalıklı kimliklerin düşük güvenlikli sistemlerde asla açığa çıkmamasını sağlar:

PAW (Privileged Access Workstation) ve PAM (Privileged Access Management)

Katmanlı yönetimi hayata geçirirken sık karıştırılan iki kavram, isim benzerliğine rağmen tamamen farklı şeylerdir:

İkisi tamamlayıcıdır: ideal senaryoda yönetici bir PAW (Privileged Access Workstation) üzerinden çalışır ve o an ihtiyaç duyduğu ayrıcalığı bir PAM (Privileged Access Management) çözümü aracılığıyla JIT (Just-In-Time) olarak (Ör. “2 saatliğine Domain Admin”) talep eder böylece hem nereden (temiz cihaz) hem nasıl (geçici, denetlenen erişim) güvence altına alınır.

Not: Bulut/Hibrit tarafında PAM (Privileged Access Management)’in Microsoft Entra ID karşılığı PIM (Privileged Identity Management)‘dir; just-in-time ayrıcalık yükseltme sağlar (Bkz. Bölüm 4: Yönetim Araçları ve Hibrit Kimlik yazısında 16. Microsoft Entra ID ve Hibrit Kimlik bölüm).

12.3. Temel Sıkılaştırma Önlemleri

# LAPS (Windows LAPS) - yerel yönetici parolalarını otomatik yönet
# WS2025'te yerleşik; Entra ID veya AD'de saklama seçeneği
Get-Command -Module LAPS

# Yönetilmeyen (RC4) Kerberos şifreleme kullanan hesapları bul
Get-ADObject -Filter 'msDS-supportedEncryptionTypes -bor 4' `
    -Properties msDS-supportedEncryptionTypes

# "Password never expires" olan hesapları denetle
Get-ADUser -Filter 'PasswordNeverExpires -eq $true -and Enabled -eq $true' |
    Select-Object Name, SamAccountName

# Ayrıcalıklı grupları (Domain/Enterprise Admins) düzenli denetle
Get-ADGroupMember "Domain Admins" | Select-Object Name, SamAccountName
Get-ADGroupMember "Enterprise Admins" | Select-Object Name, SamAccountName

# krbtgt hesap parolasının yaşını kontrol et (periyodik döndürülmeli)
Get-ADUser krbtgt -Properties PasswordLastSet | Select-Object PasswordLastSet

Protected Users grubu: Yüksek ayrıcalıklı hesapları bu gruba ekleyin NTLM oturum açması engellenir, DES/RC4 devre dışı kalır ve kimlik bilgisi önbelleğe alınmaz.

12.4. AD (Active Directory) Güvenlik Değerlendirme Araçları

Düzenli değerlendirme, güvenlik açıklarını proaktif bulmanın anahtarıdır. Bu araçlar, “AD (Active Directory)’im ne kadar güvenli, saldırganın istismar edebileceği yanlış yapılandırmalar nerede?” sorusunu yanıtlar bir tür güvenlik check-up’ı gibi çalışır: ortamı tarar, riskleri bulur ve önceliklendirir.

PingCastle

Güvenlik uzmanı Vincent Le Toux tarafından geliştirilen, çok yaygın kullanılan bir AD (Active Directory) değerlendirme aracıdır. AD (Active Directory)’yi tarar ve ortama bir risk puanı verir (0-100 arası; düşük puan daha iyidir). Zayıf noktaları eski protokoller, tehlikeli delegasyonlar, ayrıcalıklı hesap sorunları, güncel olmayan sistemler, güven ilişkisi (trust) riskleri vb. kategorize eder ve ayrıntılı bir HTML rapor üretir. Genellikle yalnızca okuma yetkisiyle çalışır ve dakikalar içinde sonuç verir. Ücretsiz sürümü çoğu kurum için yeterlidir; ticari sürümü de mevcuttur. Tek bir ormana derinlemesine, risk-puanı odaklı bakışıyla öne çıkar.

Purple Knight (Semperis)

Semperis firmasının ücretsiz AD (Active Directory) ve Microsoft Entra ID güvenlik değerlendirme aracıdır. Ortamı, bilinen saldırı göstergeleri açısından tarar: hem IoE (Indicators of Exposure – istismar edilebilir açıklar) hem de IoC (Indicators of Compromise – zaten saldırıya uğramış olma belirtileri). Yani “istismar edilebilir açığım var mı?” ile “zaten ele geçirilmiş olabilir miyim?” sorularını birlikte ele alır. Bulguları kategorilere göre puanlar ve iyileştirme önerileri sunar. Şirket içi AD (Active Directory) ile bulut Entra ID’yi birlikte kapsayan hibrit bakışıyla öne çıkar.

BloodHound

Saldırı yollarını (attack path) grafiksel olarak haritalayan araçtır; hangi düşük ayrıcalıklı hesabın, hangi izin/üyelik zinciri üzerinden Domain Admin’e ulaşabileceğini görselleştirir. PingCastle/Purple Knight “nerede zayıfım?” sorusuna genel bir tablo verirken, BloodHound “bir saldırgan A noktasından Domain Admin’e tam olarak nasıl gider?” sorusunu yanıtlar. Hem kırmızı takım (saldırı simülasyonu) hem mavi takım (savunma) tarafından kullanılır.

Microsoft Defender for Identity

Yukarıdakiler periyodik tarama araçlarıyken, Defender for Identity DC (Domain Controller)’lere kurulan sensörlerle gerçek zamanlı saldırı tespiti yapar (Bkz. 14. İzleme, Denetim ve Sorun Giderme bölüm). Değerlendirme (periyodik fotoğraf) ile izleme (sürekli video) birbirini tamamlar.

En iyi uygulama: AD (Active Directory) güvenliğini bir “kur ve unut” işi değil, sürekli bir süreç olarak yönetin. İşlevleri büyük ölçüde örtüştüğü için birçok kurum PingCastle ve Purple Knight’ı birlikte veya dönüşümlü kullanır. En az çeyrek dönemde bir tarama yapın, çıkan bulguları önem derecesine göre önceliklendirin ve giderin.

13. Yedekleme, Kurtarma ve AD (Active Directory) Recycle Bin

AD (Active Directory) kaybı, bir kuruluş için felakettir. Sağlam bir yedekleme ve kurtarma stratejisi zorunludur.

13.1. System State Yedeği

AD (Active Directory)’yi yedeklemenin temel yöntemi System State yedeğidir. Bu, AD (Active Directory) veritabanını (Ntds.dit), SYSVOL’ü, Registry’yi, sertifika hizmetlerini ve önyükleme dosyalarını içerir.

# Windows Server Backup özelliğini kur
Install-WindowsFeature Windows-Server-Backup

# System State yedeği al (ayrı bir diske)
wbadmin start systemstatebackup -backupTarget:E: -quiet

# Yedekleri listele
wbadmin get versions

En iyi uygulama: Her domaindeki en az iki DC (Domain Controller)’yi düzenli yedekleyin. Yedeklerin tombstone süresinden (varsayılan 180 gün) daha eski olmamasına dikkat edin. Daha eski bir yedekten geri yükleme lingering object sorunlarına yol açar.

13.2. Authoritative vs Non-Authoritative Restore

DC (Domain Controller) kurtarmada iki temel senaryo vardır:

13.3. AD (Active Directory) Recycle Bin (Geri Dönüşüm Kutusu)

Modern AD (Active Directory), yanlışlıkla silme kurtarması için AD (Active Directory) Recycle Bin sunar. Etkinleştirildiğinde, silinen objeler tüm öznitelikleriyle birlikte belirli bir süre saklanır ve tam restore gerektirmeden kolayca geri getirilebilir. Bu, authoritative restore ihtiyacının çoğunu ortadan kaldırır.

# AD Recycle Bin'i etkinleştir (geri alınamaz - ama zararsız, kalıcı özellik)
Enable-ADOptionalFeature "Recycle Bin Feature" `
    -Scope ForestOrConfigurationSet `
    -Target "bakicubuk.com"

# Silinen objeleri listele
Get-ADObject -Filter 'isDeleted -eq $true -and Name -ne "Deleted Objects"' `
    -IncludeDeletedObjects -Properties *

# Silinen bir kullanıcıyı geri getir
Get-ADObject -Filter 'SamAccountName -eq "bcubuk"' -IncludeDeletedObjects |
    Restore-ADObject

En iyi uygulama: AD (Active Directory) Recycle Bin’i hemen etkinleştirin henüz açık değilse. Objelerin geri getirilebilir kalma süresi, msDS-deletedObjectLifetime özniteliğiyle (varsayılan tombstone süresine eşit) kontrol edilir.

13.4. Forest Kurtarma ve Immutable Yedekler

En kötü senaryo tüm forest’ın (Ör. ransomware ile) kaybı için AD (Active Directory) Forest Recovery planı hazır olmalıdır. Modern strateji, yedeklerin değiştirilemez (immutable) ve ağdan yalıtılmış (air-gapped) olmasını gerektirir; çünkü ransomware saldırganları önce yedekleri hedef alır. Semperis ADFR veya Microsoft’un forest recovery kılavuzu bu senaryolar için başvuru kaynaklarıdır. Forest kurtarma planınızı düzenli olarak test edin belge rafta durmasın.

14. İzleme, Denetim ve Sorun Giderme

14.1. Kritik Güvenlik Event ID’leri
AD (Active Directory) güvenlik izlemesinin temeli, DC (Domain Controller)’lerdeki Security event log’unun bir SIEM‘e (Ör. Microsoft Sentinel, QRadar, Splunk) aktarılmasıdır.

İzlenmesi gereken başlıca olaylar:

Event ID Anlamı Neden Önemli
4624 Başarılı oturum açma Logon type ve auth package (NTLM tespiti)
4625 Başarısız oturum açma Kaba kuvvet / password spray tespiti
4740 Hesap kilitlendi Saldırı veya yanlış yapılandırma göstergesi
4728 / 4732 / 4756 Gruba üye eklendi (Global/Local/Universal) Ayrıcalık yükseltme tespiti
4720 Yeni kullanıcı hesabı oluşturuldu Yetkisiz hesap oluşturma
4672 Ayrıcalıklı oturum açma Admin aktivitesi izleme
4662 Dizin nesnesi üzerinde işlem DCSync tespiti (replikasyon GUID’leri)
5136 Dizin nesnesi değiştirildi Kritik obje/GPO (Group Policy Object) değişikliği
4768 / 4769 Kerberos TGT / servis bileti istendi Kerberoasting tespiti (RC4 + çok sayıda 4769)

14.2. Denetim Politikası (Advanced Audit Policy)

Bu olayların üretilmesi için Advanced Audit Policy Configuration GPO (Group Policy Object)’su ile denetim kategorilerini etkinleştirin: Account Logon, Account Management, DS Access, Logon/Logoff, Policy Change. SACL (System Access Control List) ile kritik OU (Organizational Unit)’lardaki değişiklikleri izleyin.

14.3. Microsoft Defender for Identity

Defender for Identity, DC (Domain Controller)’lere kurulan sensörlerle şirket içi AD (Active Directory)’yi gerçek zamanlı izleyen bulut tabanlı bir çözümdür. Kerberoasting, DCSync, pass-the-hash, lateral movement gibi saldırıları davranışsal analizle tespit eder ve Microsoft 365 Defender portalına iletir. Hibrit ortamlarda AD (Active Directory) ve Entra ID sinyallerini birleştirir.

14.4. Sorun Giderme Referans Tablosu

Günlük AD (Active Directory) sorun gidermesinde en sık kullanılan araç ve komutlar:

Belirti / İhtiyaç Komut / Araç
Genel DC (Domain Controller) sağlığı dcdiag /v /c /e
Replikasyon durumu repadmin /replsummary , repadmin /showrepl
Replikasyonu zorla repadmin /syncall /AdeP
DNS kaydı sorunları dcdiag /test:DNS , nslookup
SYSVOL/DFS-R (Distributed File System Replication) dfsrmig /getglobalstate , dfsrdiag ReplicationState
Zaman senkronizasyonu w32tm /query /status , w32tm /monitor
Güven ilişkileri netdom trust , nltest /domain_trusts
FSMO rolleri netdom query fsmo
Güvenli kanal (secure channel) Test-ComputerSecureChannel , nltest /sc_verify
Grup üyeliği / oturum whoami /groups , gpresult /r
AD (Active Directory) replikasyon (PowerShell) Get-ADReplicationFailure , Get-ADReplicationPartnerMetadata

Sistematik yaklaşım: Bir AD (Active Directory) sorununda önce dcdiag ile genel sağlığı, sonra repadmin /replsummary ile replikasyonu, ardından DNS’i kontrol edin. AD (Active Directory) sorunlarının büyük çoğunluğu DNS yanlış yapılandırması veya zaman kayması (time skew > 5 dk, Kerberos’u bozar) kaynaklıdır.

Bu yazıda SYSVOL/DFS-R mimarisini, Group Policy yönetimini, kullanıcı/grup/servis hesaplarını, AD (Active Directory) güvenliği ve sıkılaştırmayı (saldırı vektörleri, RC4/Kerberoasting, katmanlı yönetim, PAW (Privileged Access Workstation)/PAM (Privileged Access Management)), yedekleme/kurtarmayı ve izleme/denetimi ele aldık. Bölüm 3 böylece tamamlandı.

Serinin son yazısında “Bölüm 4: Yönetim Araçları ve Hibrit Kimlik” konularına giriyoruz: ADUC/ADAC/PowerShell/WAC yönetim araçları, Microsoft Entra ID ve hibrit kimlik mimarisi, Entra Connect Sync, kimlik doğrulama yöntemleri ve sık sorulan sorular.

Başka bir yazıda görüşmek dileğiyle…

Bu yazı, Windows Server 2025 Active Directory Teknik Rehberi serisinin 3. bölümüdür. Seri bakicubuk.com için hazırlanmıştır.

Exit mobile version